「みなづちAI」はリンクフリーです。リンクを行う場合の許可や連絡は不要です。引用する際は、引用元の明記と該当ページへのリンクをお願いします。
Claudeのセッションが盗まれた。ただしClaudeに2要素認証はない
みなづちです。
Claudeの利用者に、こんな件名のメールが届いています。
[Action Required]: A recent issue affected your Claude account
差出人は「Claude Team」、アドレスは no-reply@email.claude.com です。本文の最初の一段落がこれでした。
We recently signed you out of Claude and removed the payment method saved on your account, so you’ll need to log back in and re-add your card.
勝手にログアウトさせました。保存されていたカードも削除しました。そう書いてあります。
理由は、利用者のパソコンに入り込んだマルウェアが、Claudeのログインセッションを盗んでいたからです。盗んだ側はそのセッションを使ってアカウントに入り、利用枠を消費していました。
ここまでは、多くの記事が「2要素認証を迂回された」と書いています。私も最初はそう書くつもりでした。
ところがClaudeのコンシューマー向けアカウントには、2要素認証の設定そのものがありません。専用パスワードも作れません。公式ヘルプの日本語版に、こう書いてあります。
現在、Claudeアカウント用の専用パスワードを作成することはできません。
破られた2要素認証は、存在しませんでした。
本記事では、以下のポイントから解説します。
- 届いたメールの全文と、Anthropicが実際にやった3つのこと
- Claudeに2要素認証もパスワードもないこと、そして公式ヘルプが「パスワードの変更を検討してください」と書いていること
- 名前が挙がった6種類のマルウェアのうち、2つは摘発済みだったこと
- 保存済みカードは利用者側から消せない設計で、だからAnthropicが消したこと
- 全端末ログアウトをしても、Claude Codeの認可トークンは切れないこと
- 2026年9月1日10時53分時点で、Anthropicの公式チャネルにこの件の告知が1件もないこと
目次
結論：Claudeに2要素認証はない。破られる2FAがそもそもなかった
盗まれたのはログイン後に発行されるセッションの控えで、認証を突破されたわけではありません。そしてClaude側には、突破される2要素認証が最初から用意されていません。
盗まれたのはログイン済みの状態そのもの
Anthropicが送ったメールの「How did this happen」節に、こう書かれています。
It’s general-purpose malware that typically arrives with an unofficial download or a malicious app, and it quietly copies saved passwords, login cookies in browsers, and credentials for other apps running locally. Your Claude session was likely one of the many things it collected.
ブラウザに保存されたパスワード、ログインCookie、ほかのアプリの認証情報を、まとめて静かにコピーする。Claudeのセッションはその「多くのもののうちの1つ」だった、という説明です。
盗まれたのがログイン後のCookieなので、攻撃側はログイン画面を通りません。ログイン処理が発生しないので、認証のしくみが働く場面自体がありません。
Claudeの設定画面に2要素認証の項目はない
2026年9月1日時点で、support.claude.com のヘルプセンターにある英語記事353本の本文と、claude.ai のログイン画面を確認しました。ヘルプ記事の側には、2要素認証・多要素認証・パスキーの設定を扱う記事が1本もありませんでした。日本語ロケールでログイン画面を開くと、選択肢は次の4つです。
- Googleで続ける
- Appleで続ける
- メールで続ける
- SSOで続ける
パスワード欄はありません。認証アプリのコードを入れる欄もありません。公式ヘルプのFAQには「現在、Claudeアカウント用の専用パスワードを作成することはできません。」と明記されています。
「2FAが破られた」と書くと二重に外す
したがって「Claudeの2要素認証が突破された」という書き方は、二重に不正確です。1つ目に、Cookie窃取はそもそも認証を突破する攻撃ではありません。2つ目に、Claude側に突破すべき2要素認証がありません。
Googleでログインしている人はGoogle側の2段階認証がかかりますが、それはGoogleにログインする瞬間の話です。Claudeのセッションが端末から複製されたあとでは、Google側の設定は何も関与しません。
筆者の視点：「2FAを突破された」と書こうとして、手が止まった
私が最初に立てた見立ては、検証の途中で3つ崩れました。崩れ方が記事の軸を決めたので、そのまま書いておきます。
「2要素認証が迂回された」を書けなくなった
最初の見立ては「セッションCookieを盗まれると2FAが迂回される」という、よくある説明でした。技術的には正しい一般論です。
ところがClaudeについて確かめると、コンシューマー向けに2要素認証の設定が用意されていません。一般論としては正しいのに、この事案の説明としては成り立たないという状態でした。
決め手はAnthropic自身の文面でした。メールの推奨手順の2番目に、こう書かれています。
After the malware has been completely removed, secure the email account you use for Claude by setting a new password, signing out of other devices, and enabling two-factor authentication.
2要素認証を有効にする対象が、Claudeではなく「Claudeで使っているメールアカウント」になっています。Anthropicは、Claude側で2FAを設定しろとは書いていません。書けないからです。
「返金の記述はメールにない」も崩れた
検証の途中で「返金についてはメール本文に逐語がなく、報道の地の文だけだ」という結論がいったん立ちました。実際、公開されている報道でメール本文を最も長く再現しているSearch Engine Journalの引用は、「What we’ve done」が2項目で止まっています。
そこでRedditに投稿されたメールのスクリーンショット3枚を実際に取得して読みました。3項目目が存在しました。
Refunded Claude charges if we identified them as unauthorized. Refunds have already been applied so there’s nothing you need to do.
返金はすでに適用済みで、利用者側の手続きは不要。報道が落としていただけでした。
「サポートページを見れば対処できる」も崩れた
読者向けの手順として、Anthropicのヘルプにある「すべてのアクティブなセッションからログアウトする方法」を案内しようとしました。ここも引っかかりました。
日本語版の同記事に、一括ログアウトが効く範囲が列挙されています。ウェブブラウザ、モバイルデバイス、デスクトップアプリケーションの3つです。Claude Codeはこの列挙に入っていません。別項目として「設定 > Claude Code」からゴミ箱アイコンで消す、と書かれています。
対処法を1行で済ませられない構造でした。
最初の1件は8月29日20時。報道はその27時間後だった
この事案は公式発表から始まっていません。被害を受けた利用者がメールをネットに貼ったことから広がりました。時系列を押さえておきます。
メールが届いたのは日本時間8月29日の午前
私が取得したスクリーンショット3枚のうち1枚に、Gmailの受信画面がそのまま写っています。表示は「03:40（il y a 9 heures）」で、UIがフランス語でした。
受信者がフランス本土（中央欧州夏時間、協定世界時＋2時間）にいたと仮定すると、受信は日本時間8月29日の午前10時40分ごろにあたります。ただしタイムゾーンはUIの言語からの推定なので、確定ではありません。
Redditへの投稿が公開初出にあたる
このメールはRedditのr/ClaudeAIに投稿されました。ウェブアーカイブに残っていたスナップショットに含まれる投稿時刻は、協定世界時2026年8月29日11時10分37秒です。日本時間では8月29日20時10分になります。
なお私自身は、Redditのスレッド本体を直接開けていません。当環境ではreddit.comへのアクセスが遮断されており、通常URL・JSON形式・アーカイブのいずれからも本文を取得できませんでした。投稿時刻はアーカイブ上の記録によるものです。
報道は8月30日深夜から始まった
主要なセキュリティ媒体でこの件を最初に報じたのは、BleepingComputerです。記事の構造化データに埋め込まれた公開日時は2026年8月30日10時30分25秒（米東部夏時間）で、日本時間8月30日23時30分にあたります。Reddit投稿から27時間20分後です。
その後、Search Engine Journal（日本時間8月31日7時45分）、Help Net Security（同20時30分）、The Register（日本時間9月1日1時3分）、Dark Reading（同6時8分）と続きました。
届いたメールの件名は「[Action Required]」。全文を読む
報道の要約ではなく、メール本体を読むと構成がはっきりします。4つの節に分かれていました。
冒頭で「もうやりました」と告げている
メールは説明よりも先に、実行済みの措置を告げる形で始まります。
We recently signed you out of Claude and removed the payment method saved on your account, so you’ll need to log back in and re-add your card. We’re sorry for the disruption. Here’s what happened and what we’ve done about it.
事後報告です。利用者が気づく前に、サインアウトとカード削除が終わっています。
自己診断のサインが1文だけ示されている
「What happened」節の終わりに、利用者が自分で心当たりを確かめるための一文があります。
If your usage limits looked like they refilled and then drained while you weren’t using Claude, this was likely the cause.
使っていないのに利用枠が回復して、また減っていた。それが典型的な兆候だ、という説明です。通知が届いていない人にとっては、これが唯一の自己診断の手がかりになります。
スマートフォンとタブレットは対象外と書かれている
「How did this happen」節に、日本語報道でも英語報道でもほとんど引かれていない一文があります。
Phones and tablets do not appear to have been involved.
電話とタブレットは関与していないように見える、という記述です。この事案に限れば、疑うべきは普段Claudeを使っているパソコンのほうです。ただし原文は「appear（〜のように見える）」で、断定ではありません。同じ節の冒頭には「Our investigation is ongoing.（調査は継続中）」とも書かれています。
Anthropicがやったのは3つ。返金はすでに適用済みだった
「What we’ve done」節は箇条書き3項目で構成されています。1つずつ、実務的な影響が違います。
1つ目：関与したセッションのサインアウト
Signed out the sessions involved. Your Claude login session is saved on your computer, and the malware took a copy of it. Signing you out cancels that session everywhere, so the stolen copy stops working. This is why you had to log in again across your own devices.
盗まれたのは「控え」なので、元のセッションを取り消せば控えも死ぬ、という理屈です。だから利用者は自分の端末でも全部ログインし直すことになりました。
この項目には続きがあります。
Please note that we might sign you out again if we see similar signs of account misuse.
同じ兆候が見えたら、また強制ログアウトする可能性がある。一度きりの措置ではないと明記されています。
2つ目：保存済み支払い方法の削除
Removed your saved payment method, so it can’t be charged through Claude. Your current plan continues for the billing period you’ve already paid for. To renew after that, or to make any purchase, you’ll need to add a payment method again in Settings.
支払い済みの期間まではプランが続きます。更新や購入をしたければ、設定から自分でカードを登録し直す必要があります。放置すると、次の更新のタイミングで止まる形です。
3つ目：不正と判断した課金の返金
Refunded Claude charges if we identified them as unauthorized. Refunds have already been applied so there’s nothing you need to do. If you see a Claude charge you don’t recognize that hasn’t been refunded, contact Support.
返金は申請不要で、すでに反映済みと書かれています。取りこぼしがあればサポートへ、という案内付きです。メールの末尾には、通常のサポート窓口とは別に usersafety@anthropic.com という宛先も示されています。
名前が挙がった6種のうち、2つは摘発済みのはずだった
メールには、この攻撃で確認されたマルウェアの名前が並んでいます。並びを見ると、摘発が効いていないことが分かります。
メールが挙げた6ファミリーの内訳
原文はこうです。
The malware identified in this campaign so far include Vidar, Lumma (LummaC2), StealC, RedLine and Acreed on Windows, and Atomic Stealer (AMOS) on a small number of Macs.
Windows側がVidar、Lumma（LummaC2）、StealC、RedLine、Acreedの5つ。macOS側がAtomic Stealer（AMOS）で、こちらは「少数のMac」と限定されています。
ここで見落としてはいけないのが「so far」という限定語です。現時点で特定できた分であって、確定リストではありません。
RedLineは2024年10月に摘発されている
RedLineは、2024年10月28日にオランダ警察・FBI・Eurojustなどが実施した国際共同作戦「Operation Magnus」の対象でした。Eurojustの発表によれば、オランダ国内の3台のサーバーを停止し、2つのドメインを押収、ベルギーで2名の身柄を拘束しています。
それでも2026年8月の事案に名前が出ています。米司法省の発表タイトル自体が「現行版に対する国際的な妨害」という表現で、全消滅を主張していません。
Lummaも2025年5月に大規模なテイクダウンを受けた
Lumma（LummaC2）は2025年5月、MicrosoftのDCUと米司法省が約2,300のドメインを押収・停止しています。Microsoftの発表では、2025年3月16日から5月16日までのあいだに全世界で394,000台超のWindows端末が感染していました。
それでも復活しました。ただし「首位に戻った」と書くと外れます。ログ販売市場でのシェアと、配布・検知の量とで、指標が食い違うからです。フランスのCTI事業者Intrinsecは2026年4月24日のレポートで、2025年11月以降のログ販売市場の首位はVidarだとしています。一方、AhnLabのASECが2026年6月16日に公開した5月分のレポートは「LummaC2 was the most prevalent」と書いています。
ログイン画面には4つ並ぶ。ヘルプには2つしか書いていない
Claudeの認証まわりを調べていて、公式の記述と実際の画面がずれている箇所が2つ見つかりました。どちらも今回の事案に直結します。
実画面は4方式、ヘルプ記事は2方式
2026年9月1日時点の日本語ロケールでclaude.aiのログイン画面を開くと、「Googleで続ける」「Appleで続ける」「メールで続ける」「SSOで続ける」の4つが出ます。
一方、公式ヘルプの日本語版「Claudeアカウントにログインする」は、こう始まります。
Claudeアカウントにログインするための2つの異なるオプションが表示されます。
この記事の本文で説明されているのはGoogleとメールの2つだけで、AppleとSSOは日本語版・英語版のどちらの本文にも登場しません。記事のほうが実態に追いついていません。
メールでのログインはリンク方式
メール認証を選ぶと、件名「Claude.aiへのセキュアログインリンク」のメールが届きます。同じ端末でリンクを踏めばそのままログインし、別の端末で踏んだ場合は検証コードが生成されて、元の端末に入力する形です。
つまりClaudeにはそもそも「覚えておくパスワード」がありません。ログインのたびにメールかGoogleかAppleかSSOを通ります。
存在しないパスワードの変更を、公式ヘルプが勧めている
そのうえで、公式ヘルプの日本語版「アクティブセッションの管理」は、こう締めくくられています。
認識していない場所からのセッションや使用していないデバイスからのセッションに気付いた場合は、すぐに終了し、パスワードの変更を検討してください。
同じヘルプセンターの別記事が「専用パスワードは作成できません」と書いているのに、こちらは変更を勧めています。英語版も同じ構造でした。
不正アクセスに気づいた利用者がこの案内どおりに動こうとすると、変えるべきパスワードが見つからないことになります。
Claudeのセッションは28日。ただし触るたびに28日へ戻る
盗まれたセッションがどれくらい生き続けるのかは、被害の大きさを左右します。公式の記述を読むと、実質的な上限がありません。
公式の説明は「非アクティブなら28日」
日本語版ヘルプの記述はこうです。
claude.ai 経由でログインすると、28 日間の期間を持つセッションが作成されます。これは、ウェブアプリで非アクティブな場合に Claude アカウントにログインしたままでいる期間を決定します。
28日は「何も操作しなかった場合に切れるまでの期間」であって、絶対的な有効期限ではありません。
操作するたびに28日へ延長される
同じ記事の続きです。
claude.ai でページの再読み込みなどのアクションを実行すると、セッションは自動的に更新され、その時点から 28 日間に延長されます。
英語版はここに「every hour（1時間ごと）」という語が入っていて、「automatically refreshed every hour to 28 days from that point in time」となっています。日本語版はこの「1時間ごと」を訳し落としています。
いずれにせよ、使い続けている限りセッションは延び続けます。盗まれた控えを攻撃側が使い続ければ、その控えも延び続ける計算になります。
セッション長を短くできるのは管理者だけ
Anthropicはセッションの有効期間を短縮する設定を用意していますが、対象が限られます。公式ヘルプの「Configuring session security settings」の冒頭に、こう書かれています。
This feature is available to Admins and Owners of Enterprise plans and Console Admins.
Enterpriseの管理者は1日・7日・14日・28日から、Consoleの管理者は1日・3日・7日から選べます。Pro・Maxの個人利用者に、この選択肢はありません。企業は締められて、個人は締められない構造です。
カードは利用者側から消せない。だからAnthropicが消した
「なぜAnthropicがわざわざカードを削除したのか」は、Claudeの課金画面の作りを見ると腑に落ちます。利用者には削除ボタンがありません。
公式FAQは「削除する別のオプションはない」と書いている
支払い関連のFAQ（記事ID 8325618）の日本語版に、こうあります。
カードを削除する別のオプションはなく、新しいカードに更新すると、請求目的で古いカードが置き換わります。請求ページには現在のデフォルトカードのみが表示されます。
画面上でできるのは差し替えだけです。
差し替えても決済事業者側には残りうる
同じ段落は、こう続きます。
以前に使用したカードは請求されなくなりますが、当社の決済処理業者に保存されたままになる場合があります。以前のカードをアカウントから完全に削除する必要がある場合は、サポートチームにお問い合わせください。
完全に消すにはサポートへの依頼が必要で、しかもAnthropic自身が「決済処理業者側には残る場合がある」と認めています。
今回Anthropicがカードを削除したのは、利用者が自分ではできないことを代わりに実行した、という位置づけになります。
App Store・Google Play経由には当てはまらない
同じFAQの冒頭に、重要な分岐が書かれています。
If you subscribed through Claude for iOS or Claude for Android, your payment is handled by the Apple App Store or Google Play, and you’ll manage your payment method and receipts through your app store account.
モバイルアプリ経由で契約している人のカードは、そもそもAnthropicが持っていません。「カードを削除された」「再登録が必要」という記述は、ウェブで契約した人に限った話です。
規約は「アカウントの全活動はあなたの責任」と定めている
今回Anthropicは返金までしていますが、規約の建て付けはむしろ逆向きです。この落差は書いておくべきだと思いました。
消費者規約が定めるアカウント責任の条項
Consumer Terms（2025年10月8日発効）の「Your Anthropic Account」節にこうあります。
You may not share your Account login information, Anthropic API key, or Account credentials with anyone else. You also may not make your Account available to anyone else. You are responsible for all activity occurring under your Account, and you agree to notify us immediately if you become aware of any unauthorized access
アカウントで起きたことは全部あなたの責任、そして不正アクセスに気づいたら直ちに通知せよという組み立てです。第三者に乗っ取られた場合を免責する条項は、この節には置かれていません。
規約には返金は原則不可と書かれている
支払いについてはこうです。
Except as expressly provided in these Terms or where required by law, all payments are non-refundable.
規約に明記された場合と、法律が要求する場合を除いて、返金しない。今回の一斉返金は、この原則の外側で行われた措置ということになります。
日本は無条件キャンセル権の対象に入っていない
同じ規約の「Additional cancellation rights」は、対象国を4か国に限定しています。
If you are a resident of Brazil, Mexico, South Korea, or Taiwan, you have a legal right to change your mind and cancel the Subscription within 7 days of entering into the Subscription without giving a reason.
ブラジル、メキシコ、韓国、台湾。日本は入っていません。
ただし日本向けの法定表示は別に存在します。Anthropicは「特定商取引法に基づく表示」というページを2026年3月11日発効で公開しており、販売責任者名まで記載されています。私が確認した範囲では、このページはanthropic.comとclaude.comのトップページからリンクされておらず、サイトマップか検索でしかたどり着けませんでした。
感染源は海賊版ゲーム。ロシアのフォーラム説は本人の言葉ではない
感染の入口は、読者がいちばん自分ごとにしやすい部分です。ただしここは、報道のあいだで話が膨らんでいました。
本人が認めているのは「クラック版ゲーム」まで
BleepingComputerは、メールを共有した本人が海賊版ゲームをダウンロードしたと認めた、と書いています。アーカイブに残っていたコメントでは、本人がこう書いていました。
I got fooled like a rookie by downloading a cracked game. Never again
新人みたいに騙された、二度としない、という趣旨です。
「ロシア語圏の地下フォーラム」は自動要約から出ている
一部の媒体は「ロシア語圏の地下フォーラムから入手した」と書いています。この出所をたどると、投稿者本人の発言ではありませんでした。
スレッドに常駐する自動要約ボットが、コメントが50件に達した時点で生成した要約の中に出てくる一文で、しかもその要約自身が「thread detectives identified（スレッドの探偵たちが特定した）」と、ほかの読者の推測であることを明記しています。
自動生成の要約を一次情報として引くわけにはいかないので、本記事では「クラック版ゲーム」までにとどめます。
海賊版・クラックが主要な入口である実測データはある
個別の証言とは別に、実測もあります。カナダのFlareは2025年6月7日から8月12日までに感染した端末53,896台のログを分析し、41.47%がゲーム関連ファイル経由、17.65%がソフトの「crack」版のダウンロードを伴っていたと報告しています。ただしFlare自身が17.65%について「過少計上である」と注記し、分類に大規模言語モデルを使ったことも明記しています。
なおこのサンプルの内訳はLummaが38,759台（71.9%）、StealCが5,614台（10.4%）で、Vidarは1台も含まれていません。「市場の首位はVidar」という話と同じ段落に置くと矛盾して見えるので、指標が違うことを添える必要があります。
Cookie窃取を封じるDBSCは、Windows版Chromeにしか届いていない
セッションCookieの窃取そのものを無効化する仕組みは、すでに動き始めています。ただし今回の被害に効いたかというと、効いていません。
DBSCは端末の鍵にセッションを縛りつける
Device Bound Session Credentials（DBSC）は、セッションを端末内の秘密鍵に暗号的に結びつけて、盗んだCookieを別の端末で使えなくする仕組みです。Googleは2026年4月9日付のブログでこう書いています。
Device Bound Session Credentials (DBSC) is now entering public availability for Windows users on Chrome 146, and expanding to macOS in an upcoming Chrome release.
Windows限定での提供開始で、macOSは「今後のリリースで拡大」という書き方です。なお原典の日付表示は「Apr 09, 2026」だけで、時刻もタイムゾーンも書かれていません。
出荷中のChromeでは、macOSはまだ無効
私が確認した時点（2026年9月1日）のChrome安定版は153系です。Chromiumの安定版ブランチのソースを見ると、DBSCの機能フラグはWindowsのときだけ既定で有効になっており、それ以外のプラットフォームは既定で無効のままでした。開発中のmainブランチではmacOSも有効になっていますが、出荷されているChromeには届いていません。
今回「少数のMac」でAtomic Stealerの被害が出ていることを考えると、そのMacの利用者にDBSCは働いていなかったことになります。
そもそもDBSCでは今回のような被害を止められない
仕様側の限界も明記されています。W3Cの仕様の「Non-goals」にこうあります。
DBSC will not prevent temporary access to the browser session while the attacker is resident on the user’s device.
攻撃者が端末の中に居座っているあいだの一時的なアクセスは防げないと書かれています。加えてDBSCはサイト側が専用のエンドポイントを実装して初めて働く仕組みで、claude.aiが対応しているかどうかは外部から確認できませんでした。
ブラウザ側の足並みもそろっていません。Mozillaは2026年8月5日にDBSCへの立場を「negative」として確定させています。ただしMozilla自身が「negativeであっても実装しないとは限らない」と注記しており、Firefoxが実装を放棄したわけではありません。WebKit（Apple）は本記事の時点で立場を表明しておらず、該当の議論は2025年3月3日を最後に更新が止まっていました。
全端末ログアウトでも、Claude Codeの認可トークンは残る
「とりあえず全部ログアウトすれば大丈夫」と書きたくなりますが、Claudeの場合はそれでは足りません。公式ヘルプ自身が範囲を限定しています。
一括ログアウトが効くのは3種類
日本語版ヘルプの記述です。
このアクションにより、以前ログインしていたすべてのデバイスのアカウントから即座にサインアウトされます。以下を含みます：ウェブブラウザ／モバイルデバイス／デスクトップアプリケーション
3つです。Claude Codeはこの列挙に入っていません。
Claude Codeは別の場所で消す
同じ記事は、Claude Codeを独立した項目として立てています。
Claude アカウントを使用して Claude Code に認証した場合は、設定 > Claude Code に移動して認可トークンを管理できます。トークンを削除して Claude Code からログアウトするには、ゴミ箱アイコンをクリックします。
つまり一括ログアウトのあとに、もう1か所を手作業で消す必要があります。
失効が効かないという報告も残っている
さらに気になる記録があります。Anthropicのclaude-codeリポジトリに、2026年4月5日付で「全セッションを失効させてもClaude Codeの認可トークンが生き続ける」という再現手順つきの報告が立てられていました。報告者はVMを止めているあいだにウェブから全セッションを失効させ、3〜4日後にVMを起動してもClaude Codeが動作したと書いています。
この報告は現在クローズされていますが、修正されたかどうかを示す公式の回答は、そのやりとりの中に見当たりませんでした。侵害を疑う場面では、ログアウトしたつもりで終わらせないほうがよさそうです。
一括ログアウトはモバイルアプリからできない
もう1点、日本語版ヘルプに注記があります。
このオプションは現在、iOS および Android 用の Claude モバイルアプリでは利用できません。
スマートフォンしか手元にない状況では、一括ログアウトを実行できません。ウェブ版のclaude.aiを開く必要があります。
Anthropicは公式に何も出していない。9月1日10時53分に確認した
この事案でいちばん奇妙なのは、Anthropicが公開の場で何も言っていないことです。私は自分で全チャネルを見に行きました。
9月1日10時53分に確認した4つの範囲
2026年9月1日10時53分（日本時間）に、次を確認しました。
- anthropic.com/news の一覧ページ（469,127バイト）を取得し全文検索。infostealer、stealer、Vidar、Lumma、payment method、signed out、session のいずれも0件
- status.claude.com のステータスAPIを取得。表示は「All Systems Operational」で、未解決のインシデントは0件
- support.claude.com のサイトマップ（4,404URL、うち英語記事352本）を取得。本件に関する記事はなく、更新日時の最大値は協定世界時2026年8月28日15時2分7秒
- support.claude.com の日本語ロケールにも本件の記事なし
この4つの範囲では、本件の告知は1件も見つかりませんでした。ただしサイトマップの更新には数日の遅れがあることが分かっているため、これは「サイトマップに載っている範囲では」という限定つきの結論です。
8月31日付の公式記事はまったくの別件
紛らわしいのですが、anthropic.com/news には2026年8月31日付で「Improving our alignment and security efforts」という記事が載っています。タイトルにsecurityが入っているので、本件の発表だと誤解しやすい記事です。
中身を開くと冒頭がこうでした。
On July 30, we reported three incidents in which Claude models gained unauthorized access to real computer systems.
7月30日に公表したAIモデルの評価環境からの逸脱事故についての続報で、インフォスティーラーの話は一切出てきません。完全な別件です。
Dark Readingの取材にも回答していない
Dark Readingは記事の中でこう書いています。
Anthropic did not respond to a Dark Reading request for comment on the reported account attacks.
少なくともDark Readingの取材には回答していません。ほかの媒体が個別に回答を得たかどうかは、私が読んだ記事の範囲では確認できませんでした。いずれにせよ、この件について外部が参照できる一次資料は、被害者に届いたメールと、それを撮ったスクリーンショットだけです。
CVEは公開しているのに、この件は載せていない
Anthropicには公開のセキュリティ告知欄があります。trust.anthropic.com のSecurity Advisories欄です。2026年9月1日に確認した時点で、そこに載っていたのはWindows版Claudeのインストーラーに関するCVE-2026-22561（DLL探索順序のハイジャック）の1件だけでした。
製品の脆弱性は公開の場に出すのに、利用者のアカウントが乗っ取られた話は個別メールで済ませている。この非対称は、記録しておく価値があると思いました。
送信元アドレスは公開されている。ただし範囲に注意が要る
公式告知がない状態でメールだけが届くのは、フィッシングと構造がまったく同じです。ここは読者の実害に直結するので、照合手段を確認しました。
送信元は no-reply@email.claude.com
私が取得したスクリーンショットには、Gmailの差出人欄がそのまま写っています。表示は「Claude Team」に検証済みのチェックマークが付き、アドレスは no-reply@email.claude.com でした。
このアドレスは公式ヘルプに載っている
Anthropicは「Official Anthropic marketing email addresses」というヘルプ記事（記事ID 10416553）で、正規の送信元アドレスを列挙しています。no-reply@email.claude.com はその中に含まれています。つまり読者は、届いたメールの送信元を公開リストと突き合わせて確認できます。
ただしこの記事は自ら「marketing emails（マーケティングメール）」と範囲を限定しています。今回のような取引・セキュリティ通知の送信元一覧が別に公開されているかどうかは、私が確認した範囲では見当たりませんでした。
便乗した偽メールへの警戒は必要
Help Net Securityは記事の中で、Anthropicを装った模倣メールへの注意を促しています。送信元アドレスは照合できますが、公式サイトに「そういうメールを送りました」という告知がないため、事案そのものの実在を公式ページで確かめることはできません。差出人の偽装は珍しくないので、アドレスの一致だけを根拠にするのも危うい状態です。
メール内のリンクを踏まず、自分でブラウザにclaude.aiと打ち込んで設定画面から確認する。この手順なら、メールの真偽にかかわらず自分のアカウントの状態を確認できます。
盗まれたのは「利用枠」。ただし枠の外に出る設定もある
金銭的な被害の輪郭も押さえておきます。プランごとの上限が公表されていないため、正確な換算はできませんが、書ける範囲はあります。
利用枠は全製品で共通の1つのプール
公式ヘルプにこう書かれています。
Note that your usage of all different Claude product surfaces (claude.ai, Claude Code, Claude Desktop) counts towards the same usage limit.
claude.ai、Claude Code、Claude Desktopのどこで使っても、同じ枠から引かれます。だから他人にセッションを使われると、自分が何もしていなくても枠が減ります。メールが挙げた自己診断のサインは、この構造から出てきます。
日本語の料金ページも米ドル建てのまま
2026年9月1日時点のclaude.comの料金ページでは、Freeが0ドル、Proが年払いで月17ドル相当（200ドル一括前払い）または月払い20ドル、Maxが100ドルからとなっています。Max 5xが月100ドル、Max 20xが月200ドルです。
日本語版の料金ページも通貨表記は米ドルのままです。本記事で円に換算する場合は1ドル160円で計算しており、Max 20xなら月32,000円ほどにあたります。実際の請求額は為替と消費税で変わります。
枠が尽きても止まらない設定がある
見落としやすいのが、利用クレジットの扱いです。Anthropicは含有枠を超えた分をAPIの通常単価で従量課金する設定を用意しており、上限なしにもできます。
つまり「盗まれたのは月額料金の範囲内だけ」とは限りません。この設定を有効にしていた利用者は、含有枠が尽きたあとも課金が続きうる構造です。
日本の公的機関は、この手口をほとんど記録していない
日本の読者向けに、国内の状況も確かめました。結論から言うと、公的な統計と注意喚起にはほとんど出てきません。
IPAの10大脅威2026に「インフォスティーラー」の語がない
IPAの「情報セキュリティ10大脅威 2026」について、プレスリリース、一覧ページ、組織編の解説書（全64ページ）、個人編のハンドブック（全32ページ）をダウンロードして全文検索しました。この4点の範囲では、「インフォスティーラー」「スティーラー」「Cookie」「セッション」のいずれも0件でした。
ただし個人編は「インターネット上のサービスへの不正ログイン」の対策として、「クレジットカード情報は極力、登録しない」「多要素認証を利用する」「ログイン履歴を確認する」を挙げています。Anthropicがカードを削除した対応は、この方向性と一致します。
JPCERT/CCの注意喚起にも単独項目がない
JPCERT/CCの2025年と2026年の注意喚起一覧を確認したところ、インフォスティーラーを単独テーマにした注意喚起は見当たりませんでした。これは注意喚起のカテゴリに限った確認で、同機構のブログや会員向けの早期警戒情報までは見ていません。
一方で警察庁は国際捜査に参加している
統計に出ないだけで、実務は動いています。警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月10日公表、全176ページ）に、こう書かれています。
日本警察は、INTERPOL から提供を受けた情報に基づき、サイバー特別捜査部及び 18 都道府県警察が緊密に連携し、侵害されたサーバを管理する事業者に順次働きかけを行った結果、当該事業者によって 129 台の C2 サーバがテイクダウンされた。
令和7年6月のINTERPOLの国際共同捜査「Secure」で、日本国内で129台のC2サーバーが停止されています。「海の向こうの話」ではありません。
検挙399件のうち該当したのは3件だけ
なお、国家公安委員会・総務大臣・経済産業大臣の連名で公表された「不正アクセス行為の発生状況」（令和8年3月12日）では、令和7年の認知件数が7,190件、検挙された識別符号窃用型399件のうち「スパイウェア等のプログラムを使用して入手」はわずか3件でした。検挙ベースの統計は、この手口の実態を捕捉できていません。
AIサービスの認証情報は、すでに標的リストに入っている
Claude固有の事件として読むと本質を外します。AIサービスのアカウントは、数年前から窃取の対象になっています。
ChatGPTの認証情報は30万件超が出回った
IBMのX-Force Threat Intelligence Index 2026の解説記事（2026年2月25日）に、こう書かれています。
In 2025, over 300,000 ChatGPT credential sets were advertised on the dark web, driven largely by infostealer malware operators who expanded their target lists to include AI services.
数え方の単位は「認証情報のセット」で、感染端末数ではありません。IBMは同じ内容をプレスリリースでは「exposure（露出）」と言い換えており、表現が一定していない点は割り引いて読む必要があります。
2023年の時点で10万台が感染していた
さらに遡ると、Group-IBが2023年6月20日に発表した調査があります。2022年6月から2023年5月のあいだに、ChatGPTの認証情報が保存されていた感染端末10万1,134台分のログがダークウェブで取引されていた、という内容です。
この数字は「認証情報10万件」ではなく「感染端末10万1,134台」です。日本語のまとめ記事でよく取り違えられています。
偽のAIツールが配布経路になっている
Microsoftは2026年2月2日のセキュリティブログで、macOS向けのAtomic Stealerが「偽のAIツールのインストーラー」を経由して配られていると報告しています。AIツールの人気そのものが、感染の入口として利用されている形です。
Anthropicは「このマルウェアはClaudeとは無関係」と明言していますが、AI関連ソフトを装った偽インストーラーが別に存在すること自体は、読者が知っておく価値があります。
読者が今日できること。設定＞アカウント＞アクティブセッション
通知が届いていない人でも、確認と予防はできます。すべて公式ヘルプで裏が取れている手順だけを挙げます。
まず利用枠の減り方に心当たりがないか
Anthropicが示した自己診断のサインは1つです。使っていないのに利用枠が回復して、また減っていた。心当たりがあれば、次の確認に進みます。
ただし通知が届いていないこと自体は、無事の証明になりません。Anthropicは影響を受けた人数を公表していません。
設定＞アカウントでアクティブセッションを見る
claude.aiをブラウザで開き、左下のプロフィールアイコンから「設定 > アカウント」に進み、「アクティブセッション」までスクロールします。表示されるのは4項目です。
- デバイスとブラウザ（例：「macOS上のChrome」）
- 場所（IPアドレスに基づいた概算の地理的位置）
- 更新日時
- 現在のセッション
見覚えのない場所や端末があれば、3点メニュー（⋮）から「終了」を選びます。公式ヘルプは「以前は、アカウントでアクティブなセッションを確認する方法がありませんでした」と書いており、比較的新しい機能です。
ログアウトは3か所を順番に回る
侵害を疑う場合は、次の順で回ります。
- 「設定 > アカウント」の「ログアウト」で、ウェブ・モバイル・デスクトップを一括で切る
- 「設定 > Claude Code」でゴミ箱アイコンを押し、認可トークンを削除する
- APIキーを発行している場合は、Console側で個別に確認する
1だけでは足りません。そしてこの操作はiOS・Androidアプリからは実行できないので、ウェブ版を開く必要があります。
順序を間違えると意味がなくなる
Anthropicのメールが示した手順は、番号付きで4つでした。前置きが効いています。
Signing you out of Claude stops the stolen sessions, but it doesn’t remove the malware. If it’s still on your computer, your next login session could be stolen the same way, so we recommend taking prompt action to remove the malware.
そのうえで、
- Claudeを使っているパソコンをスキャンし、以後の使用の前にマルウェアを除去する
- マルウェアを完全に除去したあとで、Claudeに使っているメールアカウントを守る（新しいパスワードの設定、他端末からのサインアウト、2要素認証の有効化）
- ブラウザに保存していた他のパスワード（銀行、仕事、クラウドサービスなど）の更新を検討し、ブラウザに支払い情報を保存しているならカード明細の確認も検討する
- 以上を終えたあとで、プランを継続したい場合のみ支払い方法を登録し直す
駆除より先にパスワードを変えると、新しい認証情報もその場で盗まれます。2番目の「2要素認証の有効化」がClaudeではなくメールアカウントに対する指示である点も、読み飛ばさないでください。
まとめ：Claudeのセッション窃取で9月1日時点に確定していること
最後に、本記事の執筆時点で一次資料から確認できた事実だけを並べます。
Anthropicは一部のClaude利用者に対し、関与したセッションのサインアウト、保存済み支払い方法の削除、不正と判断した課金の返金を実施しました。返金はすでに適用済みで、利用者側の手続きは不要と書かれています。原因はAnthropic側の侵害ではなく、利用者のパソコンに入り込んだ汎用のインフォスティーラーによるログインセッションの窃取です。確認されたマルウェアはVidar、Lumma（LummaC2）、StealC、RedLine、Acreedの5つがWindows、Atomic Stealer（AMOS）が少数のMacで、原文には「so far」という限定が付いています。
Claudeのコンシューマー向けアカウントには2要素認証の設定がなく、専用パスワードも作れません。2026年9月1日時点のログイン画面に並ぶのは、Google・Apple・メール・SSOの4つです。にもかかわらず公式ヘルプの「アクティブセッションの管理」は、不審なセッションを見つけたら「パスワードの変更を検討してください」と案内しています。
セッションはウェブアプリで無操作が28日続くと切れますが、操作するたびにその時点から28日へ延長されます。有効期間を短縮できるのはEnterpriseとConsoleの管理者だけで、Pro・Maxの個人利用者に手段はありません。一括ログアウトの対象はウェブブラウザ・モバイルデバイス・デスクトップアプリケーションの3つで、Claude Codeの認可トークンは別途「設定 > Claude Code」から削除する必要があります。
保存済みカードは利用者側の画面から削除できず、できるのは差し替えだけです。完全な削除にはサポートへの依頼が要り、Anthropic自身が「決済処理業者側には残る場合がある」と書いています。App StoreとGoogle Play経由で契約している人のカードは、そもそもAnthropicが保持していません。
そして2026年9月1日10時53分（日本時間）に私が確認した範囲で、anthropic.com/news、status.claude.com のステータスAPI、support.claude.com のサイトマップに載る英語記事352本と日本語ロケールのいずれにも、この件の告知はありませんでした。Dark Readingの取材にも回答していません。外部が参照できる一次資料は、被害者に届いたメールとそのスクリーンショットだけです。
利用枠を盗まれることが金銭的な被害になる時代になり、AIサービスのアカウントは窃取の対象として定着しました。今日できるのは、アクティブセッションを一度見にいくことと、心当たりのある端末をスキャンすることです。
あなたのClaudeのアクティブセッション一覧に、見覚えのない端末は並んでいませんか。
よくある質問（FAQ）
Q1. 通知メールが届いていなければ、自分は無事ということですか。
無事の証明にはなりません。Anthropicは影響を受けた人数も、通知の対象範囲も公表していません。メールが示した自己診断のサインは「使っていないのに利用枠が回復して、また減っていた」の1点です。心当たりがなくても、claude.aiの「設定 > アカウント」にある「アクティブセッション」を一度確認しておくと、見覚えのない端末や場所があるかどうかを自分で判断できます。
Q2. Claudeで2要素認証を設定すれば、この手口を防げますか。
2026年9月1日時点で、Claudeのコンシューマー向けアカウントに2要素認証の設定はありません。専用パスワードも作れず、ログインはGoogle・Apple・メールのログインリンク・SSOの4方式です。加えて、今回の手口はログイン後に発行されたセッションの控えを端末から複製するものなので、仮に2要素認証があったとしてもこの経路は止まりません。Anthropicがメールで2要素認証の有効化を勧めている対象も、Claudeではなく「Claudeで使っているメールアカウント」です。
Q3. スマートフォンやタブレットも危ないのでしょうか。
Anthropicのメールには「Phones and tablets do not appear to have been involved.（電話とタブレットは関与していないように見える）」と書かれています。ただし原文は「appear」で断定ではなく、同じ節に「調査は継続中」ともあります。またClaudeの一括ログアウトはiOS・Android用のモバイルアプリからは実行できないため、対処が必要な場合はウェブ版のclaude.aiを開く必要があります。
筆者より
この記事は、最初に立てた見立てが3つとも崩れました。
いちばん大きく崩れたのは「2要素認証を迂回された」という書き出しです。セッションCookieの窃取が2FAを迂回するという説明自体は正しいのですが、Claudeについては当てはまりませんでした。そもそもコンシューマー向けに2要素認証の設定がなく、パスワードも作れません。英語のヘルプ記事を全件たどっても、ログイン画面のHTMLを見ても、該当する項目は出てきませんでした。決め手になったのは、Anthropic自身がメールで「Claudeで使っているメールアカウントの2要素認証を有効にしろ」と書いていたことです。Claude側で設定しろとは書けなかったのだと思います。
「返金の記述はメールにない」も崩れました。公開報道で最も長くメール本文を再現していた記事の引用が2項目で止まっていたため、いったんそう結論しかけました。Redditに投稿されたスクリーンショット3枚を実際に取得して読んだところ、3項目目が存在し、しかも「返金はすでに適用済みで、あなたがすることは何もない」と書かれていました。報道が落としていただけでした。同じ画像から、報道がどこも引いていない「電話とタブレットは関与していないように見える」という一文も見つかりました。
「サポートページの手順を案内すれば済む」も崩れました。一括ログアウトが効く範囲にClaude Codeが入っておらず、しかも「全セッションを失効させてもClaude Codeのトークンが生き続ける」という再現手順つきの報告が、Anthropic自身のリポジトリに残っていました。対処法を1行で書けませんでした。
崩れなかったのは、公式発表がないという点です。2026年9月1日10時53分に確認しても、ニュースページ・ステータスページ・ヘルプセンターのどこにも告知はありませんでした。製品の脆弱性はCVEとして公開の場に出しているのに、利用者のアカウントが乗っ取られた話は個別メールで済ませている。この非対称がいちばん気になりました。
気になったのはもう1つ、公式ヘルプのなかで整合していない箇所が複数あることです。ログイン方式が実画面では4つなのにヘルプでは2つ、存在しないパスワードの変更を別の記事が勧めている、日本語版が「1時間ごと」という条件を訳し落としている。いずれも公式の文書どうしを突き合わせて初めて見える差でした。
参考資料
- Anthropicが対象利用者に送付した通知メール（件名「[Action Required]: A recent issue affected your Claude account」、送信元 Claude Team <no-reply@email.claude.com>）のスクリーンショット3枚。Redditのr/ClaudeAIに投稿されたものを画像として取得し、全文を確認
- Anthropic 公式ヘルプ「Claudeアカウントにログインする」日本語版（ログイン方式、専用パスワードの不可、ログインリンクの件名）
- Anthropic 公式ヘルプ「アクティブセッションの管理」日本語版（表示項目、終了手順、パスワード変更の案内）
- Anthropic 公式ヘルプ「すべてのアクティブなセッションからログアウトする方法」日本語版（28日、対象3種、Claude Codeの別手順、モバイル非対応）
- Anthropic 公式ヘルプ「Configuring session security settings」（Enterprise・Console管理者限定、選択可能な日数）
- Anthropic 公式ヘルプ 有料プラン請求FAQ 日本語版（カード削除の不可、決済処理業者への残存、App Store・Google Play経由の扱い）
- Anthropic 公式ヘルプ「Official Anthropic marketing email addresses」（正規送信元アドレス一覧）
- Anthropic Consumer Terms（2025年10月8日発効。アカウント責任条項、返金原則、追加解約権の対象4か国）
- Anthropic「特定商取引法に基づく表示」（2026年3月11日発効）
- anthropic.com/news 一覧ページおよび「Improving our alignment and security efforts」（2026年8月31日付、本件とは別件であることを本文で確認）
- status.claude.com ステータスAPI（2026年9月1日10時53分時点、All Systems Operational）
- support.claude.com サイトマップ（4,404URL、英語記事352本、更新日時の最大値）
- trust.anthropic.com Security Advisories（CVE-2026-22561のみ）
- BleepingComputer「Anthropic warns infostealer malware is hijacking Claude sessions to drain usage」（米東部夏時間2026年8月30日10時30分）
- Help Net Security「Anthropic locks out Claude users after infostealers hijack login sessions」（協定世界時2026年8月31日11時30分）
- Search Engine Journal（メール本文の再現）、The Register（被害者からメールの写しを直接受領）、Dark Reading（Anthropicが取材に無回答である旨の記述）
- Eurojust「Operation Magnus」発表（2024年10月28日、RedLineおよびMETA）
- Microsoft On the Issues（2025年5月21日、Lummaのドメイン押収と感染台数）
- Intrinsec「”Chaos is a ladder”: Vidar’s recent rise to the top」（2026年4月24日）
- AhnLab ASEC 月次インフォスティーラー動向レポート（2026年5月分・6月分）
- Bitsight Threat Intelligence（2025年7月22日、Acreedのダークウェブ市場でのログ数推移）
- Flare「Cybercrime’s favorite target: gamers」（2025年11月25日、感染端末53,896台の分析）
- Google セキュリティブログ（2026年4月9日付、DBSCのWindows向け提供開始）
- W3C Device Bound Session Credentials 仕様（Non-goals）
- Chromium 安定版ブランチ net/base/features.cc（Chrome 152・153）およびChromium公式のリリース情報API
- mozilla/standards-positions issue 912（2026年8月5日クローズ、position: negative）、WebKit/standards-positions issue 281（立場未表明）
- anthropics/claude-code リポジトリの報告（2026年4月5日付、全セッション失効後もClaude CodeのOAuthトークンが有効との再現手順）
- Microsoft Security Blog「Infostealers without borders: macOS, Python stealers, and platform abuse」（2026年2月2日）
- IBM X-Force Threat Intelligence Index 2026 解説記事（2026年2月25日）、Group-IB プレスリリース（2023年6月20日）
- 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月10日公表）
- IPA「情報セキュリティ10大脅威 2026」組織編解説書・個人編ハンドブック
- 国家公安委員会・総務大臣・経済産業大臣「不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況」（2026年3月12日）
- GIGAZINE（2026年8月31日11時49分）、マイナビニュース TECH+（同12時22分）、Codebook（同12時34分）
この記事が気に入ったら
フォローしてね！
お気軽にコメントどうぞ